There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - web2py before 2.14.2 allows remote attackers to obtain the session_cookie_key value via a direct request
    to examples/simple_examples/status. NOTE: this issue can be leveraged by remote attackers to execute
    arbitrary code using CVE-2016-3957. (CVE-2016-3954)

據發現，web2py 在驗證密碼之前，未正確檢查遭拒絕的主機。攻擊者可能利用此問題發動暴力密碼破解攻擊。(CVE-2016-10321)

據發現，web2py 允許遠端攻擊者取得環境變數值。攻擊者可能利用此問題取得管理存取權。(CVE-2016-3952)

據發現，web2py 使用硬式編碼加密金鑰。攻擊者可能利用此問題執行任意程式碼。
(CVE-2016-3953、CVE-2016-3954、CVE-2016-3957)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

发现 web2py 在验证密码之前没有正确检查被拒绝的主机。攻击者可能利用此问题执行暴力破解攻击。(CVE-2016-10321)

发现 web2py 允许远程攻击者获取环境变量值。攻击者可能利用此问题获得管理访问权限。 (CVE-2016-3952)

发现 web2py 使用硬编码的加密密钥。攻击者可能利用此问题执行任意代码。
(CVE-2016-3953, CVE-2016-3954, CVE-2016-3957)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

web2pyがパスワードを検証する前に、拒否されたホストを適切にチェックしないことがわかりました。攻撃者はこの問題を悪用してブルートフォース攻撃を実行する可能性があります。(CVE-2016-10321)

web2pyにより、リモートの攻撃者が環境変数値を取得できることがわかりました。攻撃者はこの問題を利用して管理者アクセスを取得する可能性があります。(CVE-2016-3952)

web2pyがハードコーディングされた暗号化キーを使用することがわかりました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。
(CVE-2016-3953、CVE-2016-3954、CVE-2016-3957)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

The remote Ubuntu 16.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-4030-1 advisory.

    It was discovered that web2py does not properly check denied hosts before

    verifying passwords. An attacker could possibly use this issue to perform brute-force attacks.
    (CVE-2016-10321)

    It was discovered that web2py allows remote attackers to obtain environment variable values. An attacker     could possibly use this issue to gain administrative access. (CVE-2016-3952)

    It was discovered that web2py uses a hardcoded encryption key. An attacker could possibly use this issue     to execute arbitrary code. (CVE-2016-3953, CVE-2016-3954, CVE-2016-3957)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
433906	SCA: security update for web2py (GHSA-jr83-vr4j-mp6p)	Tenable Cloud Security	SCA Checks	2025/8/19	2026/7/2	medium
433906	SCA: security update for web2py (GHSA-jr83-vr4j-mp6p)	Tenable Self-Hosted Container Security	SCA Checks	2025/8/19	2026/7/2	medium
126174	Ubuntu 16.04 LTS：web2py 弱點 (USN-4030-1)	Nessus	Ubuntu Local Security Checks	2019/6/24	2024/8/27	critical
126174	Ubuntu 16.04 LTS：web2py 漏洞 (USN-4030-1)	Nessus	Ubuntu Local Security Checks	2019/6/24	2024/8/27	critical
126174	Ubuntu 16.04 LTS : web2py の脆弱性 (USN-4030-1)	Nessus	Ubuntu Local Security Checks	2019/6/24	2024/8/27	critical
126174	Ubuntu 16.04 LTS : web2py vulnerabilities (USN-4030-1)	Nessus	Ubuntu Local Security Checks	2019/6/24	2024/8/27	critical

检测

插件搜索

medium

medium

critical

critical

critical

critical